Scanopy: карта сети офиса, которая не устаревает

Схема сети нарисована один раз

У большинства офисов, клиник и магазинов схема сети есть в одном из двух видов. Либо её нарисовал монтажник в день запуска и больше никто не открывал, либо она живёт в голове администратора. Через год она описывает сеть, которой уже нет: появились вторая точка Wi-Fi, камеры на складе, новый сервер учёта и коммутатор в подсобке, про который помнит один человек.

Это болит в трёх случаях. Админ уволился, и новый неделю выясняет, что к чему подключено. Аудитор просит схему, а её приходится рисовать заново. Что-то упало, и надо быстро понять, от чего это ещё зависит. Раньше я писал про NetAlertX, который замечает чужое устройство в сети. Scanopy решает соседнюю задачу: показывает, как всё связано и какие приложения где работают.

Что такое Scanopy

Проект живёт на GitHub (scanopy/scanopy), написан на Rust, раньше назывался NetVisor. Репозиторий создан 29 сентября 2025 года. На 10 октября 2026 года у него 5854 звезды, последний релиз v0.17.22 вышел 7 октября. Версия нулевая, проект молодой, и быстрые изменения в нём норма. Около 6000 коммитов сделал один аккаунт, у остальных участников заметно меньше, так что держится всё на одном главном разработчике и небольшом сообществе.

Из каждого скана получаются четыре вида. L2 показывает коммутаторы, порты и кабели. L3 показывает подсети и связи между ними. Вид «нагрузки» показывает, что на чём запущено: железо, виртуальные машины, контейнеры. Вид «приложения» собирает сервисы и их зависимости в группы. В документации заявлено больше 230 определений сервисов. Карту можно выгрузить в Mermaid или Confluence, но какие форматы входят в бесплатную версию, на сайте проекта не указано.

Как он сканирует и что для этого нужно

Берёте docker-compose.yml из репозитория и запускаете одну команду. Внутри три контейнера: сервер, база PostgreSQL и демон, который и сканирует. Интерфейс открывается на порту 60072. Для других сегментов (гостевая сеть, склад, касса за отдельным роутером) демоны ставят отдельно, они сами подключаются к серверу.

Без паролей демон ищет хосты через ARP, проверяет открытые порты, спрашивает DNS и по шаблонам угадывает сервисы. Первый скан сети /24, по документации, идёт около 30 минут. Дальше работает расписание: по умолчанию раз в сутки, и каждый третий скан полный, с проверкой всех 65 535 портов на хосте.

Подробнее картина получается, если дать учётные данные: SNMP (версии 1, 2c и 3), Docker, Proxmox, контроллер UniFi, SSH со своим скриптом. Через SNMP и LLDP демон узнаёт, какой коммутатор к какому подключён. Пароли и ключи вводите вы сами, на устройствах достаточно включить SNMP или выдать токен только для чтения.

Где он не сработает

Карта проводов зависит от оборудования. Вид L2 строится из данных LLDP и CDP, которые отдают управляемые коммутаторы и роутеры, по SNMP или из контроллера вроде UniFi. Неуправляемый коммутатор и большинство конечных устройств в L2 не попадут, документация это прямо оговаривает. В L3 они видны.

Ещё границы из документации. Работает только IPv4. Подсети, до которых демон не дотягивается напрямую, сканируются хуже: нет MAC-адресов, находятся только хосты с открытым портом. Сервисы на нестандартных портах могут не опознаться.

Про лицензию. Бесплатная версия идёт под AGPL-3.0 и по таблице тарифов ограничена одной площадкой и одним пользователем. Для офиса или одной клиники хватает. ИТ-аутсорсеру с десятком клиентов нет: на сайте проекта коммерческая версия Self-Hosted Standard стоит 4000 долларов в год на 50 площадок и 25 мест, облако начинается с 79,99 доллара в месяц. Если вы просто пользуетесь программой внутри компании, AGPL ни к чему не обязывает. Если доработаете код и отдадите другим как сервис, условия лицензии надо читать отдельно.

Риски: право, безопасность, нагрузка

Сканировать можно только свою сеть или ту, которую вам поручил обслуживать владелец, и с его ведома. Чужую сеть сканировать нельзя, даже из любопытства. Клиенту стоит заранее сказать, что вы запускаете такую программу и какие данные она хранит.

Готовая карта удобна не только вам. Она показывает атакующему, где что стоит и какие порты открыты. Выкладывать её в открытый доступ нельзя, интерфейс держите внутри сети и за паролем. Сразу смените пароль базы: в примере docker-compose.yml пароль PostgreSQL по умолчанию «password». Демон в этом файле запускается в привилегированном режиме в сети хоста, а сокет Docker подключён только на чтение. С такими правами его стоит ставить осознанно.

Сканирование нагружает сеть. По умолчанию это 500 проб портов и 50 ARP-пакетов в секунду. Слабый роутер или старый принтер могут это почувствовать, скорость задаётся в настройках, а первый запуск лучше сделать вечером. Отдельный параметр, опрос портов с 9100 по 9107, по документации может вызвать печать мусора на некоторых принтерах.

Что можно сделать уже сейчас

Передача дел админа. Поставьте Scanopy на мини-ПК, дайте скану пройти и сохраните карту до ухода сотрудника. Новому человеку достанется список устройств и сервисов на сегодня, без пересказа на словах.

Подготовка к аудиту. Снимите актуальную карту, сверьте со списком оборудования и найдите то, чего в списке нет. Забытый сервер лучше найти самим.

Диагностика. Когда что-то перестало работать, вид «приложения» показывает, от чего оно зависит.

Связка с NetBox. Scanopy показывает факт на сегодня, а замысел, то есть как сеть должна быть устроена, удобно хранить в NetBox. Расхождение между ними и есть повод разбираться. Если проблема в доступах и документации у подрядчика, начните с этой статьи. Развернуть Scanopy и настроить доступы мы можем в рамках работ по ИТ-инфраструктуре.

Частые вопросы

Чем Scanopy отличается от NetAlertX?

NetAlertX следит за появлением и пропажей устройств и пишет об этом в мессенджер. Scanopy строит карту: подсети, связи между коммутаторами, сервисы и их зависимости. Один нужен, чтобы заметить чужое устройство, второй, чтобы понимать устройство сети. Друг другу не мешают.

Нужны ли пароли от устройств?

Для базового скана нет. Но без SNMP или контроллера не получится карта физических связей, а без Docker или Proxmox часть данных о нагрузках пропадёт.

Можно ли поставить его в сети клиента?

Технически да, но только по договорённости с владельцем сети. И помните, что бесплатная версия рассчитана на одну площадку.

Коротко о главном

Scanopy собирает карту сети по расписанию, поэтому она устаревает медленнее нарисованной вручную. Бесплатной версии хватает для одной площадки. Ограничения тоже есть: проекту около года, разработчик по сути один, а карта проводов зависит от управляемого оборудования.

Есть сеть, в которой никто не помнит, что куда подключено, или админ собирается уходить? Напишите мне в Telegram слово «ТОПОЛОГИЯ». Посмотрим, что у вас стоит, и разберём, как снять карту без риска для работающих устройств.